Bài học theo mô-đun (3/3)
DNS filters, sinkholes, and RPZ
Bộ lọc DNS, hố sụt và RPZ
Tường lửa DNS có thể áp dụng chính sách: chặn các miền độc hại đã biết, viết lại câu trả lời hoặc hướng khách hàng đến hố chìm được kiểm soát. Vùng chính sách phản hồi (RPZ) là một định dạng và cách tiếp cận được một số người phân giải sử dụng để phân phối dữ liệu chính sách. Chúng không phải là thuộc tính nội tại của DNS và không thay thế tường lửa mạng hoặc bảo mật điểm cuối.
Nguồn cấp dữ liệu chỉ báo có thể sai hoặc lỗi thời. Quyết định ai phê duyệt quy tắc, cách xử lý kết quả dương tính giả, quy tắc vẫn hoạt động trong bao lâu, ai có thể yêu cầu một ngoại lệ và cách khôi phục quy tắc đó. Ghi lại lý do thay đổi và hiển thị cho người vận hành.
Đối với miền lừa đảo đã được xác nhận, chính sách có thể trả về NXDOMAIN hoặc gửi ứng dụng khách đến một hố sâu nội bộ để đo lường. Không chuyển hướng người dùng đến một trang bắt chước trang bị chặn. Hãy xem xét DNSSEC: việc viết lại cục bộ có thể thay đổi các đảm bảo xác thực và phải được thiết kế và ghi lại trong trình phân giải.
Kiểm tra sự hiểu biết của bạn
Chọn câu trả lời tốt nhất. Các ví dụ sử dụng tên đào tạo và không gửi truy vấn DNS thực.
Điều gì làm cho bộ lọc DNS có thể quản lý được?